Política de Privacidade

A DDM TECH LTDA ("DDM", "nós" ou "nosso"), inscrita no CNPJ sob o n.º 40.275.188/0001-03, com sede em Indaiatuba/SP, é a controladora dos dados pessoais tratados por meio da plataforma DDM ("Plataforma"). Esta Política de Privacidade descreve como coletamos, utilizamos, armazenamos, compartilhamos e protegemos os dados pessoais de nossos usuários e clientes corporativos, em conformidade com a Lei Geral de Proteção de Dados (Lei n.º 13.709/2018 - LGPD) e demais legislações aplicáveis.

Nota: Não coletamos dados pessoais sensíveis (origem racial, convicção religiosa, dados de saúde, etc.) de forma intencional. Caso o Cliente importe planilhas ou conecte bases que contenham tais dados, a responsabilidade pela base legal adequada para esse tratamento é do próprio Cliente como controlador desses dados.

3. Finalidades do Tratamento

• Provisão e operação da Plataforma DDM e seus serviços de BI e IA;
• Processamento de dados importados para geração de dashboards, relatórios e projeções;
• Execução de integrações com ERPs e bancos de dados do Cliente;
• Autenticação, controle de acesso e segurança da conta;
• Faturamento, cobrança e gestão de assinaturas;
• Suporte técnico e atendimento ao Cliente;
• Melhorias na experiência de uso com base em dados agregados e anonimizados;
• Detecção e prevenção de fraudes, abusos e ameaças à segurança;
• Cumprimento de obrigações legais, fiscais e regulatórias;
• Envio de comunicações sobre o serviço (atualizações, manutenções, alertas de segurança).

4. Compartilhamento de Dados

Nós NÃO vendemos, alugamos ou comercializamos dados pessoais de nossos clientes. O compartilhamento ocorre estritamente com os sub-processadores listados abaixo, todos sob contratos de DPA (Data Processing Agreement):

Podemos também compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente (ANPD, Poder Judiciário, etc.).

Conforme a LGPD (Art. 33), informamos que seus dados podem ser transferidos para servidores localizados nos Estados Unidos e outras regiões onde nossos sub-processadores operam. Essas transferências são realizadas com base nas seguintes salvaguardas:

• Cláusulas contratuais padrão (Standard Contractual Clauses) firmadas com cada sub-processador;
• Garantias de que os sub-processadores adotam padrões de proteção compatíveis com a LGPD;
• Criptografia de ponta a ponta (TLS 1.3 em trânsito; AES-256 em repouso) em todas as transferências;
• Isolamento lógico de dados por tenant, impedindo acesso cruzado entre clientes.

7. Direitos do Titular dos Dados (LGPD Art. 18)

Você pode exercer os seguintes direitos a qualquer momento, mediante solicitação ao nosso Encarregado de Dados (DPO):

Responderemos às solicitações em até 15 dias úteis, conforme previsto na LGPD. Caso não fiquemos satisfeitos com a resposta, você tem o direito de reclamar junto à Autoridade Nacional de Proteção de Dados (ANPD).

8. Medidas de Segurança

Adotamos medidas técnicas e administrativas compatíveis com a natureza dos dados tratados:

• Criptografia: AES-256 para dados em repouso; TLS 1.3 para dados em trânsito;
• Isolamento Multi-Tenant: Cada cliente possui um schema dedicado no banco de dados (tenant_{uuid}), impedindo acesso cruzado;
• Controle de Acesso (RBAC): Permissões granulares por papel, até nível de dataset;
• Autenticação Segura: Autenticação via Supabase Auth com suporte a MFA;
• Logs de Auditoria: Registros imutáveis de todas as ações na plataforma;
• Backups: Backups automáticos diários com retenção de 30 dias;
• Monitoramento: Detecção proativa de ameaças e scans de vulnerabilidade.

Em conformidade com a LGPD (Art. 48), em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares:

• Comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável;
• A comunicação incluirá: natureza dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança adotadas, riscos relacionados e medidas de mitigação;
• Manteremos registro de todos os incidentes, mesmo aqueles que não necessitem de comunicação externa.

A Plataforma DDM é destinada exclusivamente ao uso corporativo (B2B). Não coletamos intencionalmente dados de crianças ou adolescentes menores de 18 anos. Caso identifiquemos que dados de menores foram coletados inadvertidamente, procederemos com sua exclusão imediata, conforme LGPD (Art. 14).

11. Uso de Inteligência Artificial

A Plataforma utiliza modelos de inteligência artificial para oferecer funcionalidades de análise, projeções e relatórios. Informamos que:

• Os dados enviados à IA são processados em sessões isoladas e efêmeras;
• Nenhum dado do Cliente é utilizado para treinar ou aprimorar modelos de IA públicos;
• Os outputs da IA (insights, projeções, relatórios) são probabilísticos e não devem ser interpretados como garantias absolutas;
• O Cliente tem visibilidade sobre quais dados são processados pela IA em cada interação;
• O processamento por IA está coberto pelas cláusulas contratuais com o sub-processador (Google Cloud).

12. Alterações nesta Política

Reservamo-nos o direito de atualizar esta Política de Privacidade periodicamente para refletir mudanças em nossas práticas ou na legislação aplicável. Em caso de alterações materiais, notificaremos os Clientes por email com pelo menos 30 dias de antecedência da entrada em vigor. O uso continuado da Plataforma após a data de vigência constitui aceitação da política atualizada.

Para exercer seus direitos ou esclarecer dúvidas sobre esta Política, entre em contato com nosso DPO pelo email acima. Caso sua solicitação não seja atendida de forma satisfatória, você pode entrar em contato com a Autoridade Nacional de Proteção de Dados (ANPD) em www.gov.br/anpd.